Add personal accounts, scoped access and editable family genealogy

ARCHITECTURE.md

@@ -53,6 +53,22 @@
 
 本阶段实现独立运行、空间建模、三类视觉对象、实时视频接入和本机可选录像。摄像头真实接入结果由部署记录和主机运行状态说明。
 
-下一阶段可加入具体录像机的历史回放适配器；随后扩展其他设备类型和联动规则。PTZ、语音对讲、AI 检测、多用户细分权限目前没有实现，不作为已具备的能力展示。
+下一阶段可加入具体录像机的历史回放适配器；随后扩展其他设备类型和联动规则。PTZ、语音对讲、AI 检测目前没有实现，不作为已具备的能力展示。
 
 配置写入 SQLite 并生成运行时媒体配置，录像数据独立存储。当前为单机模式；升级前备份整个数据目录。凭据和录像不包含在公开源码中。
+
+
+## 身份与家谱
+
+`identity.py` 管理账号、scrypt 密码散列、旧账户迁移、会话撤销和空间授权。`genealogy.py` 管理独立人物、亲子/配偶边和并发修订号。账号通过 `personId` 可选关联人物；祖先无需账号。家谱目前是同一部署的一份共享家庭档案，按账号授予 read/edit 权限。管理员与家庭成员的角色不由家谱辈分决定。
+
+| API | 权限 |
+| --- | --- |
+| GET/POST /api/users | 管理员 |
+| GET /api/family | 家谱查看或编辑 |
+| POST /api/family/person | 家谱编辑 |
+| POST /api/family/link | 家谱编辑 |
+| GET /api/state | 按空间过滤，个人账号不返回设备连接凭据与配置 |
+| GET /media/live/*、/media/playback、/api/recordings | 登录并具备对应空间权限 |
+
+人物与关系修订在同一数据库事务中保存；修改关系时迭代检查亲子图，拒绝循环。前端 `kinship.js` 通过最短关系路径提供阅读称呼，未知长幼与复杂旁系明确显示不确定性或关系链。家谱页面不启动摄像头播放；返回实时画面时重新建立所需流。